Gestione degli audit

La Gestione degli audit ti offre un unico luogo per prepararti agli audit di sicurezza e conformità: raccogliere le evidenze che dimostrano il rispetto di un controllo, monitorare i rilievi emersi da una valutazione e portare ciascun rilievo fino alla chiusura. Le evidenze e i rilievi sono organizzati attorno agli stessi controlli dei framework che monitori altrove nella sezione Conformità, così il lavoro che svolgi ogni giorno alimenta direttamente la prontezza all'audit.

Funzionalità Beta

La Conformità — inclusa la Gestione degli audit — è una funzionalità Beta in Cert-IX ed è ancora in espansione. L'organizzazione delle evidenze, il ciclo di vita dei rilievi e il flusso di remediation descritti di seguito sono il nucleo di ciò che viene rilasciato oggi. Le sezioni contrassegnate come in fase di rilascio descrivono automazioni pianificate o in corso di introduzione; consideralo come una roadmap più che come un comportamento garantito.

Come si integra la gestione degli audit

Un audit, nella sua forma più semplice, è una verifica che i tuoi controlli siano in atto e che tu possa dimostrarlo. Cert-IX lo supporta in tre fasi collegate:

Fase	Cosa fai	Cosa traccia la piattaforma
Evidenze	Raccogli e allega gli artefatti che dimostrano il soddisfacimento di ciascun controllo	Elementi di evidenza collegati ai controlli che supportano
Rilievi	Registra lacune, osservazioni e non conformità sollevate durante (o prima di) un audit	Rilievi con gravità, responsabile e stato
Remediation	Correggi il problema di fondo e dimostra la correzione	Avanzamento della remediation fino alla chiusura di ciascun rilievo

Poiché le evidenze e i rilievi si collegano ai controlli dei framework che già monitori — NIST CSF, ISO 27001, SOC 2, CIS Controls, NIS2 e qualsiasi framework personalizzato tu definisca — lo stesso record può servire più di un audit quando tali framework condividono requisiti sovrapposti.

Prepararsi a un audit

La preparazione consiste soprattutto nel colmare il divario tra lo stato del controllo che dichiari e le evidenze che sei in grado di produrre. Una sequenza pratica:

1. Conferma l'ambito. Decidi quale/i framework e quali controlli l'audit coprirà.
2. Rivedi lo stato dei controlli. Individua i controlli contrassegnati come soddisfatti ma con evidenze scarse o mancanti.
3. Raccogli le evidenze per tali controlli (vedi di seguito).
4. Autovaluta e annota le lacune. Dove un controllo non è ancora soddisfatto, registralo come rilievo così viene tracciato anziché dimenticato.
5. Poni rimedio alle lacune più significative prima che l'audit abbia inizio.

suggerimento

Tratta le lacune che individui durante l'autovalutazione come rilievi di prima classe. Registrarle in anticipo significa che seguono lo stesso flusso di remediation dei rilievi sollevati dagli auditor, con un responsabile e uno stato chiaro — invece di rimanere in un foglio di calcolo.

Gestione delle evidenze

L'evidenza è qualsiasi artefatto che dimostra il funzionamento di un controllo: una policy scritta, un'esportazione di configurazione, uno screenshot di un'impostazione, un ticket che attesta il rispetto di un processo o l'output di una scansione di sicurezza. In Cert-IX, gli elementi di evidenza sono allegati ai controlli che supportano, così un auditor (o il te del futuro) può passare direttamente da un controllo alla prova che vi sta dietro.

Tipi di evidenza

• Documenti — policy, procedure e standard che mantieni in Gestione delle policy.
• Configurazioni e screenshot — impostazioni esportate o schermate acquisite che dimostrano la corretta configurazione di un controllo.
• Output di scansione — rilievi e risultati prodotti dalla scansione delle vulnerabilità propria di Cert-IX. Poiché la piattaforma esegue già scansioni delle dipendenze e delle vulnerabilità (vedi Gestione delle vulnerabilità), i risultati delle scansioni possono fungere da evidenza del fatto che i controlli tecnici sono monitorati.
• Record e ticket — artefatti che dimostrano che un processo ricorrente (revisioni degli accessi, patching, gestione degli incidenti) è effettivamente avvenuto.

Ciascun elemento di evidenza registra chi lo ha aggiunto e quando, così mantieni una cronologia di base di ciò che è stato inviato per un dato controllo.

note

La raccolta automatizzata delle evidenze — l'estrazione delle evidenze per determinati controlli tecnici direttamente dai dati della piattaforma secondo una pianificazione — è in fase di rilascio. Oggi, prevedi di allegare manualmente la maggior parte delle evidenze o di esportarle dalla relativa superficie di Cert-IX.

Monitoraggio dei rilievi

Un rilievo è qualsiasi elemento che un audit fa emergere e che richiede attenzione: un controllo mancante, un requisito parzialmente soddisfatto o un'osservazione per il miglioramento. I rilievi sono l'unità di lavoro che gestisci dopo (e durante) una valutazione.

Cosa registra un rilievo

Campo	Scopo
Descrizione	In cosa consiste il problema e perché è importante
Gravità	Quanto è grave la lacuna (Critica / Alta / Media / Bassa)
Controllo/i interessato/i	Il/i requisito/i del framework a cui il rilievo si riferisce
Responsabile	La persona responsabile della remediation
Note di remediation	Il piano e le evidenze necessarie per dimostrare la correzione

Ciclo di vita del rilievo

I rilievi attraversano un insieme definito di stati, così che il loro stato sia inequivocabile in qualsiasi momento:

• Aperto — il rilievo è stato registrato ma il lavoro non è iniziato.
• In corso — la remediation è in atto.
• In attesa di verifica — una correzione è stata implementata ed è in attesa di conferma.
• Chiuso — la correzione è stata verificata e il rilievo è risolto.
• Rischio accettato — l'organizzazione ha scelto consapevolmente di accettare il rischio, con tale decisione documentata anziché posta rimedio.

Il percorso tipico è Aperto → In corso → In attesa di verifica → Chiuso, con Rischio accettato disponibile quando la remediation non è la risposta scelta. Separare In attesa di verifica da Chiuso impedisce che una correzione venga contrassegnata come completata finché qualcuno non ha confermato che ha effettivamente funzionato.

Flusso di remediation

1. Registra il rilievo con una descrizione, la gravità e il/i controllo/i interessato/i.
2. Assegna un responsabile incaricato di risolverlo.
3. Pianifica la remediation e annota quali evidenze dimostreranno la correzione.
4. Implementa la modifica.
5. Raccogli le evidenze e allegale al rilievo e al controllo correlato.
6. Verifica che la modifica abbia avuto l'effetto previsto.
7. Chiudi il rilievo — oppure registra una decisione documentata di Rischio accettato.

Dove un rilievo deriva da una vulnerabilità tecnica, lo stesso problema è spesso già tracciato in Gestione delle vulnerabilità; collegare i due mantiene coerenti la vista dell'audit e quella operativa.

Durante e dopo l'audit

• Durante l'audit, rispondi alle richieste degli auditor indicando (o esportando) le evidenze allegate a ciascun controllo, e registra come rilievi eventuali problemi sollevati dall'auditor così da inserirli immediatamente nel flusso di remediation.
• Dopo l'audit, rivedi ciascun rilievo, conferma che sia accurato, assegna i responsabili e stabilisci le priorità della remediation per gravità. I rilievi seguono poi il ciclo di vita descritto sopra finché ogni elemento non raggiunge lo stato Chiuso o un documentato Rischio accettato.

Restare pronti all'audit tra una valutazione e l'altra

La prontezza all'audit è più facile da mantenere che da ricostruire. Anziché trattare ogni audit come una corsa affannosa una tantum, mantieni le evidenze allegate ai controlli man mano che il tuo ambiente cambia e risolvi i rilievi non appena si presentano, così che il divario tra "conforme sulla carta" e "dimostrabile oggi" rimanga ridotto.

In fase di rilascio

Un'automazione più profonda — monitoraggio continuo dei controlli, aggiornamento pianificato delle evidenze e rilevamento della deriva di configurazione — è pianificata per la Conformità man mano che matura oltre la fase Beta. Fino ad allora, la prontezza continua è principalmente una questione di mantenere aggiornate le evidenze e portare i rilievi alla chiusura.

Esportazione delle informazioni di audit

Puoi esportare le evidenze e i rilievi associati a un audit per condividerli con gli auditor o conservarli per i tuoi archivi — ad esempio, l'elenco dei rilievi e il loro stato attuale, oppure le evidenze allegate a un insieme di controlli. Questo ti offre un'istantanea portatile dello stato di un framework senza dover concedere l'accesso diretto alla piattaforma.

---

Prossimi passi

• Panoramica sulla conformità — come si integrano framework, policy e supporto agli audit.
• Framework — i framework che puoi monitorare e rispetto ai quali mappare i controlli.
• Matrice di conformità — visualizza in un'unica vista la copertura dei controlli tra i framework.
• Gestione delle vulnerabilità — dove hanno origine i rilievi tecnici che spesso diventano evidenze di audit.